Resumen Técnico: Telemetría y Ocultación en la IA Generativa Autoadaptable

1. Planteamiento del Problema

La orientación actual de la Gestión de Riesgos de Modelos (MRM) asume un ciclo de vida de modelo estático: los modelos se desarrollan, se validan de forma independiente en un momento específico y se despliegan sin modificaciones autónas posteriores. Los sistemas de IA generativa autoadaptables (por ejemplo, modelos de lenguaje extenso actualizados mediante Aprendizaje por Refuerzo a partir de la Retroalimentación Humana o Gradiente Descendente Estocástico continuo) violan esta suposición por diseño. Estos modelos actualizan sus propios pesos durante la producción, lo que hace que la validación en un punto determinado en el tiempo sea inadecuada y crea una "Brecha de Validación Continua".

Este documento aborda dos desafíos de gobernanza interconectados:

1. Observabilidad: Cómo construir una arquitectura de telemetría rigurosa y computacionalmente tratable que registre la trayectoria de un modelo autoadaptable tanto en tiempo discreto como continuo.
2. Ocultación Adversaria: Qué sucede cuando el propietario del modelo tiene un incentivo económico para ocultar las actualizaciones de aprendizaje para evitar activar revisiones de validación obligatorias. El documento formaliza el "Problema de Ocultación del Modelo" e investiga los límites fundamentales de la detección.

2. Metodología

El documento se divide en dos partes. La Parte I desarrolla la arquitectura de telemetría bajo la suposición de un reporte fiel. La Parte II relaja esta suposición, modelando la interacción como un juego adversario entre un propietario de modelo y un validador.

Parte I: Arquitectura de Telemetría

• Registro en Tiempo Discreto: El autor propone que la distancia en el espacio de pesos (por ejemplo, la norma de Frobenius) es una métrica inadecuada para la auditoría. En su lugar, define la Divergencia de Comportamiento ($\delta_t$) como la divergencia de Kullback-Leibler (KL) entre las distribuciones de salida de estados de modelo consecutivos sobre un conjunto de referencia canónico $R$. Construye una Cadena de Pesos de Merkle para vincular criptográficamente cada estado del modelo con su predecesor y sus datos de entrenamiento, asegurando la evidencia de manipulación.
• Registro Basado en Eventos: En lugar de registrar cada paso, el sistema registra únicamente en Tiempos de Parada definidos por el cruce de un umbral de divergencia de comportamiento. Esto asegura que la densidad del registro sea proporcional al movimiento conductual, no al tiempo de reloj.
• Límite de Tiempo Continuo: La recursión de SGD en tiempo discreto se aproxima mediante una Ecuación Diferencial Estocástica (SDE) de Itô. El autor identifica la Variación Cuadrática $[W]_t$ como el escalar de telemetría canónico para el tiempo continuo, capturando la intensidad estocástica del aprendizaje.
• Marco de Estabilidad: La arquitectura se integra dentro de un marco de estabilidad de Lyapunov. El autor deriva condiciones para la estabilidad de la media y la estabilidad de trayectoria casi segura, utilizando la Ley del Logaritmo Iterado (LIL) para acotar las fluctuaciones de los martingalas.
• Disparador de Gobernanza: Se propone una prueba CUSUM (Suma Acumulada) para operacionalizar la escalada de gobernanza por niveles, proporcionando un mecanismo estadísticamente fundamentado para detectar cambios en la divergencia de comportamiento con tasas de falsas alarmas controladas.

Parte II: El Problema de Ocultación del Modelo

El documento formaliza un juego donde el Propietario del Modelo ($F$) intenta maximizar la deriva no detectada mientras el Validador ($V$) intenta detectarla. El autor clasifica seis estrategias de ataque distintas y analiza sus contramedidas:

• Ataques en Tiempo Discreto:

  • Ataque S (Supresión): La firma deja de transmitir telemetría. Contramedida: Un Oráculo de Comportamiento que utiliza un conjunto de canarios secreto para detectar la divergencia de salida.
  • Ataque F (Falsificación): La firma reporta un hash "señuelo" conforme a la norma mientras sirve un modelo desviado. Contramedida: Firma de Inferencia (vincular salidas a hashes de modelos) y Pruebas de Conocimiento Cero (zk-SNARKs) para la conformidad de Lyapunov.
  • Ataque C (Modelo Sombra): La firma mezcla salidas de un modelo reportado y un modelo de canal lateral no reportado. Contramedida: Atestación de Entorno de Ejecución Confiable (TEE) para vincular todo el proceso a un estado verificado por hardware.

• Ataques en Tiempo Continuo:

  • Ataque N (Enmascaramiento de Deriva Amplificada por Difusión): La firma amplifica el ruido para ocultar la deriva. Contramedida: El documento demuestra que las razones de Variación de Potencia fallan en detectar la deriva porque la primera variación de una difusión es infinita; la razón mide la frecuencia de muestreo, no la deriva.
  • Ataque G (Manipulación de la Medida de Girsanov): La firma manipula los datos de entrenamiento para cambiar la medida de probabilidad de la deriva. Contramedida: Se demuestra que la Sonda de Gradiente propuesta es circular, ya que solo vuelve a detectar la deriva de pesos que ya es visible para el Oráculo de Comportamiento.
  • Ataque H (Explotación de la Hessiana): La firma diseña la curvatura local para cancelar las señales de deriva en las comprobaciones de estabilidad de la media. Contramedida: Una Comprobación de Estabilidad de Trayectoria utilizando el envolvente LIL para verificar que las trayectorias realizadas se mantengan dentro de los límites de variación cuadrática declarados.

Límites Fundamentales

El documento establece un Residual de Información Teórica. Incluso con todas las contramedidas, existe un radio estrictamente positivo $\epsilon^*(\delta)$ de perturbaciones de peso indetectables para cualquier resolución de comportamiento $\delta$ finita. Esto implica que ningún régimen de telemetría puede detectar derivas adversarias arbitrariamente pequeñas.

3. Contribuciones Clave

1. Estadístico Suficiente Mínimo: Formalización del Resumen de Estado (divergencia de comportamiento en un conjunto de referencia) como el estadístico suficiente mínimo para la auditoría en tiempo discreto, reemplazando la distancia en el espacio de pesos.
2. Cadena de Pesos de Merkle: Construcción de una cadena a prueba de manipulaciones que vincula los estados del modelo con los datos de entrenamiento, reduciendo la confianza en el historial a la verificación de un único extremo de la cadena.
3. Generalización de Tiempo Continuo: Derivación del límite de tiempo continuo mediante cálculo de Itô, estableciendo la Variación Cuadrática como el escalar canónico para la intensidad del aprendizaje y los Tiempos de Parada de KL para el registro basado en eventos.
4. Certificados de Estabilidad: Integración del marco en la teoría de Lyapunov para derivar condiciones de estabilidad de media y de trayectoria casi segura, incluyendo el uso de la Ley del Logaritmo Iterado para los límites de trayectoria.
5. Taxonomía de Ocultación de Modelos: Clasificación sistemática de seis estrategias de ocultación (tres discretas, tres continuas) con sus respectivas contramedidas formales.
6. Resultados Negativos: Pruebas rigurosas de que las defensas naturales de tiempo continuo (Variación de Potencia y Sondas de Gradiente) fallan al detectar ciertas derivas adversarias, resaltando las limitaciones intrínsecas de la telemetría.
7. Teorema del Suelo de Detección: Prueba de que para cualquier resolución finita $\delta > 0$, el conjunto de perturbaciones indetectables contiene una bola de radio estrictamente positivo $\epsilon^*(\delta)$.
8. Principio de Doble Régimen: Recomendación de diseño donde la telemetría continua es necesaria pero no suficiente, requiriendo el emparejamiento con auditorías invasivas periódicas para acotar el riesgo residual.

4. Resultados

El documento respalda sus afirmaciones teóricas con estudios numéricos (usando un clasificador softmax ligero) y pruebas formales:

• Eficacia de la Métrica: El Estudio A1 demuestra que las perturbaciones de peso de igual magnitud en la dirección del gradiente producen una divergencia KL significativamente mayor (aprox. 2.33$\times$) que aquellas en la dirección tangente (espacio nulo), validando la divergencia de comportamiento sobre la norma de Frobenius.
• Evidencia de Manipulación: El Estudio A2 confirma que una modificación mínima ($10^{-2}$) en los pesos invalida toda la cadena de Merkle subsiguiente con una probabilidad abrumadora.
• Registro Basado en Eventos: El Estudio A3 muestra que los modelos estáticos generan cero paquetes, mientras que la densidad de paquetes escala con la intensidad de la adaptación, validando la eficiencia del enfoque de tiempo de parada.
• Variación Cuadrática: El Estudio A4 verifica que la variación cuadrática empírica coincide con la predicción teórica $\eta \sigma^2 d_{tot} T$ con un error de solo 0.56%.
• Estabilidad y CUSUM: El Estudio A5 confirma el decaimiento de Lyapunov hacia un piso de ruido y demuestra que el disparador CUSUM detecta la deriva adversaria poco después de que comience, manteniendo una baja tasa de falsas alarmas.
• Fallo del Ataque N: El Estudio B2 confirma que la razón de Variación de Potencia es ciega a la deriva, escalando solo con la raíz cuadrada del número de muestras ($\sqrt{n}$), independientemente de la magnitud de la deriva.
• Detección del Ataque H: El Estudio B4 muestra que, mientras las comprobaciones de estabilidad de la media pasan para un atacante que subdeclara la varianza, la comprobación del envolvente LIL de trayectoria detecta la violación con una tasa del 99.7%.
• Suelo de Resolución: El Estudio B5 demuestra empíricamente la existencia de un vacío de resolución finita donde las pequeñas perturbaciones permanecen indetectables por el conjunto de canarios, confirmando el Teorema 13.3.

5. Significado y Reivindicaciones

El documento afirma proporcionar el primer tratamiento formal de la evasión de gobernanza en el contexto de los modelos de IA de aprendizaje continuo. Su importancia radica en:

• Redefinición de Métricas de Auditoría: Desplazamiento del enfoque de la distancia en el espacio de pesos hacia la divergencia de comportamiento, reconociendo que grandes movimientos de pesos pueden ser conductualmente inertes mientras que movimientos pequeños pueden ser críticos.
• Puente entre MRM y Aprendizaje Continuo: Adaptación de los marcos de MRM estáticos a sistemas dinámicos mediante la introducción de telemetría continua y certificados de estabilidad.
• Honestidad sobre los Límites: En lugar de reclamar un sistema de detección perfecto, el documento define rigurosamente el suelo de detección. Argumenta que, debido a que la telemetría no puede detectar derivas arbitrariamente pequeñas, se requiere un Principio de Doble Régimen: la telemetría continua estrecha el alcance de las auditorías, pero las auditorías invasivas periódicas (bajo TEE) son estrictamente necesarias para acotar el riesgo residual.
• Defensa en Profundidad: La arquitectura propuesta no es una sola herramienta, sino una pila de capas (Hardware, Criptográfica, Estadística, Estocástica, Gobernanza) donde cada capa aborda diferentes superficies de ataque.

El documento concluye que, si bien la telemetría continua transforma la gobernanza de instantáneas no dirigidas a investigaciones focalizadas, no puede reemplazar las auditorías invasivas. El "enfoque de doble régimen" se presenta como la única forma estructuralmente sólida de gestionar los riesgos de la IA autoadaptable dentro de las directrices de MRM existentes.